| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Browser öffnet Webseiten im Hintergrund / Rootkit.AgentWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
24.11.2009, 18:55
| #16 |
| /// Winkelfunktion /// TB-Süch-Tiger™   |  Browser öffnet Webseiten im Hintergrund / Rootkit.Agent Sieht soweit gut aus. Mach mal bitte noch ein Logfile mit GMER - Anleitung (zwecks Kontrolle)
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
24.11.2009, 19:09
| #17 |
 | Browser öffnet Webseiten im Hintergrund / Rootkit.Agent Hallo Arne,
__________________sollte ich da ComboFix vorher deinstallieren? Wenn ja, wie? Gruß, Frank |
|
24.11.2009, 19:18
| #18 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Browser öffnet Webseiten im Hintergrund / Rootkit.Agent Combofix brauchst Du nicht zu löschen. Geht aber normalerweise über Start, Ausführen combofix /U
__________________
__________________ |
|
25.11.2009, 08:50
| #19 |
| | Browser öffnet Webseiten im Hintergrund / Rootkit.Agent Guten Morgen Arne, oh, oh... ... ich glaube, das sieht nach weiterem Aufräumen aus: Code:
ATTFilter GMER 1.0.15.15252 - http://www.gmer.net
Rootkit scan 2009-11-25 08:41:45
Windows 5.1.2600 Service Pack 3
Running: ljeglz2y.exe; Driver: C:\DOKUME~1\Master\LOKALE~1\Temp\ugdiykoc.sys
---- System - GMER 1.0.15 ----
SSDT BAFC2396 ZwCreateKey
SSDT BAFC238C ZwCreateThread
SSDT BAFC239B ZwDeleteKey
SSDT BAFC23A5 ZwDeleteValueKey
SSDT BAFC23AA ZwLoadKey
SSDT BAFC2378 ZwOpenProcess
SSDT BAFC237D ZwOpenThread
SSDT BAFC23B4 ZwReplaceKey
SSDT BAFC23AF ZwRestoreKey
SSDT BAFC23A0 ZwSetValueKey
SSDT BAFC2387 ZwTerminateProcess
---- User code sections - GMER 1.0.15 ----
.text C:\WINDOWS\system32\SearchIndexer.exe[2736] kernel32.dll!WriteFile 7C810E27 7 Bytes JMP 00585C0C C:\WINDOWS\system32\MSSRCH.DLL (mssrch.dll/Microsoft Corporation)
---- Devices - GMER 1.0.15 ----
AttachedDevice \Driver\Ftdisk \Device\HarddiskVolume1 hotcore3.sys (Hotbackup helper driver/Paragon Software Group)
AttachedDevice \Driver\Ftdisk \Device\HarddiskVolume2 hotcore3.sys (Hotbackup helper driver/Paragon Software Group)
AttachedDevice \Driver\Ftdisk \Device\HarddiskVolume3 hotcore3.sys (Hotbackup helper driver/Paragon Software Group)
---- Registry - GMER 1.0.15 ----
Reg HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32
Reg HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32@ThreadingModel Apartment
Reg HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL
Reg HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32@cd042efbbd7f7af1647644e76e06692b 0xE2 0x63 0x26 0xF1 ...
Reg HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32
Reg HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32@ThreadingModel Apartment
Reg HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL
Reg HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32@bca643cdc5c2726b20d2ecedcc62c59b 0x46 0x47 0x15 0xB0 ...
Reg HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32
Reg HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32@ThreadingModel Apartment
Reg HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL
Reg HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32@2c81e34222e8052573023a60d06dd016 0xFF 0x7C 0x85 0xE0 ...
Reg HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32
Reg HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32@ThreadingModel Apartment
Reg HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL
Reg HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32@2582ae41fb52324423be06337561aa48 0x3E 0x1E 0x9E 0xE0 ...
Reg HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32
Reg HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32@ThreadingModel Apartment
Reg HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL
Reg HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32@caaeda5fd7a9ed7697d9686d4b818472 0xCD 0x44 0xCD 0xB9 ...
Reg HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32
Reg HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32@ThreadingModel Apartment
Reg HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL
Reg HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32@a4a1bcf2cc2b8bc3716b74b2b4522f5d 0xB0 0x18 0xED 0xA7 ...
Reg HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32
Reg HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32@ThreadingModel Apartment
Reg HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL
Reg HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32@4d370831d2c43cd13623e232fed27b7b 0xFB 0xA7 0x78 0xE6 ...
Reg HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32
Reg HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32@ThreadingModel Apartment
Reg HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL
Reg HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32@1d68fe701cdea33e477eb204b76f993d 0x83 0x6C 0x56 0x8B ...
Reg HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32
Reg HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32@ThreadingModel Apartment
Reg HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL
Reg HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32@1fac81b91d8e3c5aa4b0a51804d844a3 0xF6 0x0F 0x4E 0x58 ...
Reg HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32
Reg HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32@ThreadingModel Apartment
Reg HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL
Reg HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32@f5f62a6129303efb32fbe080bb27835b 0x3D 0xCE 0xEA 0x26 ...
Reg HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32
Reg HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32@ThreadingModel Apartment
Reg HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL
Reg HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32@fd4e2e1a3940b94dceb5a6a021f2e3c6 0xF8 0x31 0x0F 0xA9 ...
Reg HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32
Reg HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32@ThreadingModel Apartment
Reg HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32@ C:\WINDOWS\system32\OLE32.DLL
Reg HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32@8a8aec57dd6508a385616fbc86791ec2 0x05 0x73 0x21 0xDD ...
---- EOF - GMER 1.0.15 ----
Gruß, Frank |
|
25.11.2009, 11:06
| #20 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Browser öffnet Webseiten im Hintergrund / Rootkit.Agent Das Log von GMER ist rel. kryptisch...typische TDSS-Rootkit Anzeichen seh ich da so aber nicht. Was ist denn nun bzgl. der geöffneten Seiten im Hintergrund? Meldet irgendein Virenscanner noch den TDSS?
__________________ Logfiles bitte immer in CODE-Tags posten |
|
25.11.2009, 11:31
| #21 |
| | Browser öffnet Webseiten im Hintergrund / Rootkit.Agent Hallo Arne, ich habe aktuell keine unschicklichen Aufrufe mehr. Der TDSSserv-Treiber ist nicht mehr sichtbar. Einen Scan mache ich heute abend nochmal. Ich deute diese Einträge im GMER als gesperrte Registry-Einträge, die vermutlich entfernt werden können/sollten/müssen. Gruß, Frank |
|
25.11.2009, 21:55
| #22 |
| | Browser öffnet Webseiten im Hintergrund / Rootkit.Agent Guten Abend Arne, ich habe mich zu früh gefreut - und könnt  Die Aufrufe sind wieder da (oder vielleicht immer noch)  Aber: Ich sehe den TDSSserv-Treiber nicht. Ich sehe die c:\windows\kb913800.exe, die Combofix entfernt hat, nicht. Ich sehe die Registry keys, die Avenger entfernt hat, nicht: "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TDSSserv.sys" und "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\network\TDSSserv.sys" Malwarebytes meldet mit aktuellen Signaturen: Nix. Keine Infektionen Interessanter Weise meldet RootkitRevealer unter anderem Code:
ATTFilter HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32* 14.11.2005 20:41 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32* 14.11.2005 20:41 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32* 14.11.2005 20:41 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32* 14.11.2005 20:41 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32* 14.11.2005 20:41 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32* 14.11.2005 20:41 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32* 14.11.2005 20:41 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32* 14.11.2005 20:41 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32* 14.11.2005 20:41 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32* 14.11.2005 20:41 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32* 14.11.2005 20:41 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32* 14.11.2005 20:41 0 bytes Key name contains embedded nulls (*)
Aber welches Programm steuert die Aufrufe des Browsers  Trotz allem noch einen schönen Abend. Frank |
|
26.11.2009, 08:41
| #23 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Browser öffnet Webseiten im Hintergrund / Rootkit.Agent Welche Aufrufe, die Webseiten öffnen sich wieder? Die gleichen oder die ähnlichen? Wird sonst irgendwas gefunden bzgl TDSS? Die Rootkit Revealer Funde deuten IMHO Nicht auf TDSS hin. Systemscan mit OTL Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
__________________ Logfiles bitte immer in CODE-Tags posten |
|
26.11.2009, 11:27
| #24 |
| | Browser öffnet Webseiten im Hintergrund / Rootkit.Agent Hallo und guten Morgen, strukturell laufen die Aufrufe immer wie folgt ab (so zumindest das, was ich aus der Chronik von Firefox entnehmen kann): 1. Es wird Google aufgerufen mit einer Kombination aus vergangenen Suchbegriffen und dem Wort "sexviedeos" (das ist tatsächlich so falsch geschrieben) 2. Dann klappert das Programm (oder was auch immer) die Suchergebnisse ab. 3. Irgendwann endet das, das geschieht aber unterschiedlich lange. Ich teile deine Ansicht, TDSS scheint verschwunden zu sein. Dafür nochmal vielen vielen Dank - sehr gute Arbeit. Bleibt nur die Frage, was da sonst noch diese Aufrufe auslöst....  Log erstelle ich heute abend, bis dahin viele Grüße. Frank |
|
26.11.2009, 19:27
| #25 |
| | Browser öffnet Webseiten im Hintergrund / Rootkit.Agent Guten Abend Arne, anbei hier OTL.Txt und hier Extras.Txt btw, ich glaube die merkwürdigen Einträge HKLM\SOFTWARE\Classes\CLSID\etc. kommen von einem Pinnacle-Produkt auf meinem Rechner . Ich werde das heute abend mal deinstallieren, dann werden wir weiter sehen. Einen schönen Abend noch. Gruß, Frank |
|
26.11.2009, 19:31
| #26 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Browser öffnet Webseiten im Hintergrund / Rootkit.Agent Die Deinstallationsroutinen entfernen nicht immer alle Registry Einträge, die beim Setup auch angelegt wurden. Klingt doof ist aber (auch) so   Nur mal so als Hinweis.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
27.11.2009, 07:39
| #27 |
| | Browser öffnet Webseiten im Hintergrund / Rootkit.Agent Hallo Arne, du hattest leider Recht... ... aber ich denke (wie du auch), dass die Einträge in der Registry nichts mit den Browser-Aufrufen zu tun haben. Was sprechen die OTL-Logs? Gruß, Frank |
|
27.11.2009, 08:49
| #28 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Browser öffnet Webseiten im Hintergrund / Rootkit.Agent Ich seh dort nichts Böses. Du kannst ja noch einen letzten Kontrollscan machen: Überprüfe den Rechner mit PrevXCSI. Poste ein Screenshot falls etwas gefunden werden sollte oder poste Namen und Pfade.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
27.11.2009, 11:44
| #29 |
| | Browser öffnet Webseiten im Hintergrund / Rootkit.Agent ... mit anderen Worten: Wenn der PrevXCSI auch nichts findet, muss ich den Rechner neu aufsetzen, um die Webseitenaufrufe loszuwerden? Gruß, Frank |
|
27.11.2009, 11:46
| #30 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Browser öffnet Webseiten im Hintergrund / Rootkit.Agent Du könntest es nochmal mit einem neuen Firefox-Profil testen. Letzter Ausweg Formatieren und Neuaufsetzen ist immer drin 
__________________ Logfiles bitte immer in CODE-Tags posten |
|
| Themen zu Browser öffnet Webseiten im Hintergrund / Rootkit.Agent |
| abgesicherten modus, adobe, antivir, antivir guard, avg, avira, bho, bonjour, browser, cdburnerxp, chronik, desktop, dsl, entfernen, excel, explorer, firefox, hijack, hijackthis, hkus\s-1-5-18, internet, internet explorer, keine funde, mozilla, plug-in, registrierungsschlüssel, rootkit.agent, software, spam, system, tdssserv, windows, windows xp, öffnet |
Linear-Darstellung
